是否可通过CloudFormation/CDK创建AWS SSO用户？

结论 #

目前AWS官方没有提供原生的CloudFormation/CDK资源用于直接创建AWS SSO本地身份源中的用户、用户组类身份资源。

你查阅文档时没有找到相关说明是正常的，当前CloudFormation官方提供的SSO相关原生资源仅覆盖权限集创建、多账户权限分配类操作，和你提到的指南覆盖的能力范围一致，不涉及身份侧的用户创建/更新/删除生命周期管理。

可行的实现方案 #

如果确实需要通过IaC（基础设施即代码）的方式管理AWS SSO用户，可选择以下方案：

• 自定义CloudFormation资源：通过Lambda函数调用AWS Identity Store服务的公开API（如CreateUser、CreateGroup等），将该逻辑封装为CloudFormation自定义资源，即可在模板中声明式创建SSO用户
• CDK侧实现：可以直接使用CDK提供的CustomResource构造类对接上述Lambda逻辑，也可直接使用社区已经封装好的第三方CDK构造库，无需自己从零实现API调用逻辑
• 如果你使用的是外部身份源对接AWS SSO的架构，用户本身由外部身份提供商负责管理同步，不需要在AWS侧创建用户，仅需通过CloudFormation/CDK管理权限分配即可

内容的提问来源于stack exchange，提问作者froi